JR九州、メアド最大130万件漏えいか 「だけ」が危ない理由

最大で約130万件。JR九州が10月9日に明らかにした、外へ漏れたかもしれないメールアドレスの数だ。対象は「JR九州Web会員」。ただし、実際に持ち出されたと確定したわけではない。

漏れた場所は、JR九州の社内ではない。会員にメールマガジンを送るのに使っていた外部のサービスが、ランサムウェアの攻撃を受けた。入っていたのはアドレスだけで、氏名も住所も電話番号もカード番号もない。メールマガジンの件名や本文も対象外だという。

アドレスだけなら、まあいいか。そう思うところだが、ここが落とし穴になる。

攻撃されたのは、借りていたサーバー

なぜ、JR九州のサーバーでもないところからアドレスが出るのか。配信を任せた先が使っていたのは、IDCフロンティアのクラウドだった。IDCフロンティアは、企業や自治体にサーバーを貸す会社だ。そのIDCFクラウドの「東日本リージョン1」が、10月7日の午前3時40分ごろから攻撃を受けた。仮想サーバーが落ちて立ち上げ直せなくなり、契約していた495の企業や自治体に影響が出ている。

JR九州がそこに置いていたのは、会員へメールマガジンを送る仕組みだ。送信の記録（ログ）に、宛先のアドレスが残っていた。漏れたかもしれないのは会員名簿ではなく、送った控えのほうだ。

JR東日本も10月9日、同じ攻撃で情報が漏れた可能性を公表した。「えきねっと」で最大約167万件、「大人の休日倶楽部」で最大約39万件。大人の休日倶楽部では、会員番号や生年月日も対象に入る。

アドレスだけでも、名簿になる

漏れたかもしれないアドレスは、無作為に集めた羅列ではない。「JR九州のWeb会員で、メールマガジンを受け取っていた人」のアドレスだけが並んでいる。送る側は、相手がJR九州と関わりのある人だと分かったうえで出せる。

差出人の名前やアドレスは、メールソフトの設定で「任意に登録して送信することができます」。IPA（情報処理推進機構）がそう説明している。表示された送信元で本物かどうかを見分けるのは難しい、とも書いている。

鉄道会社の名をかたるフィッシングは、前からある。2024年2月には、JR西日本の会員サービス「Club J-WEST」を装うメールが報告された。件名は「【JR西日本:Club J-WEST】できるだけ早くアカウント認証を完了する」。リンクの先では、IDとパスワードからカード情報まで打ち込ませる画面が出た。

いま、メールマガジンは止まっている

では、どうすればいいのか。フィッシング対策協議会は、偽サイトは本物の画面を写して作られることが多く、見分けるのは非常に難しいとしている。勧めているのは、単純な方法だ。メールやSMSに貼られたリンクは踏まない。ログインは、公式アプリか、自分でブラウザーに登録しておいたブックマークから。リンクをたどらなければ、その先の画面に打ち込むこともない。

JR九州は、対象かもしれない会員に一人ずつお詫びのメールを出すと言っている。送るのは、準備ができてからだ。最大で約130万件のアドレスが、その宛先になりうる。

配信に使っていた外部のサービスは、まだ一部が使えない。10月10日の時点で、JR九州はメールマガジンを出せない状態だという。本物が送れない時期に「JR九州メールマガジン」が届いたら、本物ではないと見ていい。